Так все и говорят: просто наводи тоталитаризм, без приведения доводов.
Ну да. Доводы можно, в отдельной брошюрке (к примеру презенташке для руководства, по управлению рисками). После чего решение наверху и исполнение внизу. Конечно неплохо бы иметь систему управления заявками и инцидентами, чтобы регистрировать все эти "оз я пароль забыла", "а что нельзя было говорить пароль? А я не знала". Но ине забывать о вдумчивом рассмотрении процессов, среди потока саботажников "я теперь не могу как раньше работать, срочно почините", могут и вправду оказаться процессы требующие отдельного рассмотрения и применения отдельных политик (если что, в винде есть гранулирование политик, для тех, кто не знал") либо перевода на другую систему авторизации,аутентификации.